最佳符合 HIPAA 标准的托管：比较安全、可靠的医疗数据选项

Jerry Low

更新 2026 年 9 月 2 日

/发布时间 2026 年 9 月 1 日

披露： HostScore 我们可能会从我们的链接中获得佣金，一些供应商会付费在特定页面上进行推广。测试和性能数据是独立收集的（详情请参阅我们的方法说明价格单位为 USD 除非另有说明。

向 AI 諮詢本頁內容：：

ChatGPT

克劳德

Perplexity

Grok

Google AI

符合 HIPAA 要求的最佳托管服务提供商是 Atlantic.Net、Liquid Web 和 DigitalOcean. Atlantic.Net 是我们综合考虑后的最佳选择，Liquid Web 提供成本更低的托管方案， DigitalOcean 适合寻求灵活云基础设施的技术团队。

在比较供应商时，请确认 BAA 的可用性，并评估加密、访问控制、备份、事件响应、媒体清除、支持专业知识以及您的团队必须承担的责任。

Atlantic.Net 捆绑了业务伙伴协议 (BAA)、服务器管理、防火墙保护等功能。 VPN 服务包括访问权限、备份、漏洞扫描和迁移协助，套餐起价为每月 552.31 美元，另加 150 美元设置费。它在我们的负载测试和正常运行时间监控中也表现出色。

Liquid Web 提供符合 HIPAA 标准的托管服务，Linux 系统每月 229 美元起，Windows 系统每月 271 美元起，是更经济实惠的托管方案。我们的测试表明，其性能表现强劲，但其注册和账户管理体验还有待改进。

DigitalOcean 提供可靠且价格具有竞争力的云基础设施， HostScore.net 该平台支持业务流程。但是，获取业务伙伴协议 (BAA) 需要支付每月 99 美元的标准支持费用或每月 999 美元的高级支持费用，而配置和持续合规性方面的责任主要仍由客户承担。

注意： HostScore 评级反映了各服务商的整体托管性能。本指南重点关注业务伙伴协议 (BAA) 的可用性、安全保障、管理范围、支持以及运行符合 HIPAA 标准环境的总成本。

1. Atlantic.Net

在线访问： https://www.atlantic.net/hipaa-compliant-hosting/

Atlantic.Net 为医疗服务提供商、医疗SaaS公司和其他处理电子健康信息（ePHI）的机构提供符合HIPAA标准的托管云服务和专用主机服务。该公司成立于1994年，在美国、加拿大、英国和新加坡运营着八个云区域。

为什么选择 Atlantic.Net 用于 HIPAA 托管？

Atlantic.Net 结合了符合 HIPAA 标准的基础设施、托管安全和运营支持。其涵盖的环境均经过独立的 HIPAA 审计。 HITECH, SOC 2 II 型和 SOC 3 第二类报告提供进一步的保障。所有 HIPAA 托管方案均提供业务伙伴协议 (BAA)，但客户仍需对其应用程序、用户访问权限和内部流程负责。

已发布的软件包包括服务器管理、托管防火墙、多因素身份验证 (MFA) 和加密功能。 VPN 访问权限、漏洞扫描以及每日本地和异地备份。 Atlantic.Net 它还对其云存储层进行加密，并记录其团队和客户之间的职责划分。

要了解更多有关 Atlantic.Net, 在这里查看我们的完整评论.

Atlantic.Net 方案、定价和总体价值

Atlantic.NetLinux HIPAA 开发人员套餐起价为每月 552.31 美元（12 个月合约），另加 150 美元设置费。Windows 灾难恢复托管的公开套餐价格最高可达每月 1,026.62 美元。入门价格相对较高，但包含管理、备份、安全服务、迁移协助以及业务伙伴协议 (BAA)，而价格更低的自助式基础设施可能需要您单独安排这些服务。

Atlantic.Net 利与弊

优点

经过 HIPAA 独立审计， HITECH, SOC 2和 SOC 3
在我们的负载测试和正常运行时间跟踪中表现良好。
托管式 HIPAA 服务包包括业务伙伴协议 (BAA)、备份、防火墙等。 VPN 访问权限和安全监控。
与自助式云平台相比，所需的技术配置更少。

缺点

高昂的准入门槛和额外的安装费用。
服务目录比 Azure 或 AWS。
客户仍需对应用程序安全和内部合规性负责。

访问 Atlantic.Net 了解有关功能的更多信息。

2. LiquidWeb

在线访问： https://www.liquidweb.com/hipaa-compliant-hosting/

Liquid Web 为医疗保健网站、应用程序、保险平台和医疗 SaaS 产品提供符合 HIPAA 标准的托管服务。公司通过指定的经 HIPAA 审核的设施提供 Linux 和 Windows 专用服务器，并配备完全托管的基础设施和全天候技术支持。

为什么选择 Liquid Web 进行 HIPAA 合规托管？

Liquid Web 为其符合 HIPAA 标准的环境提供业务伙伴协议 (BAA)。其套餐将经过审计的基础设施与托管服务器管理、入侵检测、备份和物理安全控制相结合。更高安全级别的配置还可以添加硬件防火墙和加密功能。 VPN 根据客户要求提供访问权限和其他安全保障。

从我们的角度来看，Liquid Web 的主要优势在于其将实际操作的服务器管理与广泛的功能相结合。 WordPress 经验。医疗机构可以部署 WordPress 在符合 HIPAA 标准的服务器环境中运行网站、患者门户及相关应用程序，无需自行管理底层基础设施。但是，客户必须确认所选配置符合业务伙伴协议 (BAA) 的规定，并负责应用程序安全、插件、用户权限和内部合规流程。

Liquid Web 套餐、定价和总体价值

Liquid Web 的 HIPAA 专用主机服务起价为 Linux 平台每月 229 美元，Windows 平台每月 271 美元。这比 HIPAA 主机服务的入门价格更低。 Atlantic.Net虽然捆绑了不同的软件包，但配置并不完全相同。您应该确认硬件防火墙的额外费用。 VPN 访问权限、备份容量、加密和自定义安全要求

阅读我们的 LiquidWeb 查看更多信息。

LiquidWeb 利与弊

优点

在我们的主机性能测试中表现良好。
结合了托管服务器管理、符合 HIPAA 标准的基础设施和 BAA。
对于部署型组织而言，这是一个不错的选择。 WordPress 在托管服务器环境中

缺点

根据我们的经验，客户注册和账户管理流程并不十分顺畅。
防火墙， VPN 访问权限和其他安全要求可能会提高广告价格。
客户仍然需要保护他们的应用程序、插件、用户和内部流程。

访问 LiquidWeb 了解有关功能的更多信息。

3. Digital Ocean

在线访问： https://www.digitalocean.com/trust/hipaa-at-do

DigitalOcean 为希望构建符合 HIPAA 标准的自有环境的开发者、初创公司和软件公司提供自助式云基础设施。其提供的服务包括 Droplets、Kubernetes、备份、块存储、Spaces 对象存储、防火墙、负载均衡器、VPC、监控和容器注册表。

为什么选择 DigitalOcean 用于 HIPAA 托管？

DigitalOcean 公司向购买标准或高级支持的合格医疗保健客户提供业务伙伴协议 (BAA)。公司每年接受外部 HIPAA 评估，并要求可能接触电子健康信息 (ePHI) 的员工或承包商完成 HIPAA 专项培训。其平台还支持多因素身份验证 (MFA)、单点登录 (SSO)、日志记录、监控、漏洞扫描和事件响应流程。

DigitalOcean 与预配置的 HIPAA 托管方案相比，这种方案为技术团队提供了更大的灵活性，但客户也承担了更多责任。您必须将 ePHI 限制在符合条件的产品范围内，并自行配置加密、应用程序安全、帐户权限、备份、监控和恢复流程。

想知道更多吗 Digital Ocean? 查看我们的 Digital Ocean 评估.

评价 DigitalOcean当前符合 HIPAA 规定的服务.

DigitalOcean 方案、定价和总体价值

DigitalOcean标准支持计划每月收费 99 美元，高级支持计划每月收费 999 美元。云基础设施、存储、备份、负载均衡器和其他服务单独计费。 DigitalOcean 因此，对于已经管理云安全的技术团队来说，这可能具有成本效益，但其真正的 HIPAA 合规性却并非如此。托管费用由于还必须包含付费支持和合规性配置，因此其起价远高于单个 Droplet 的价格。

Digital Ocean 利与弊

优点

HostScore.net 运行 DigitalOcean根据我们的经验，该平台一直非常可靠。
与大多数超大规模云平台相比，它提供了更简单的界面和开发者工作流程。
为不同规模的医疗保健应用提供灵活的、基于使用量的基础设施。

缺点

只有购买标准支持或高级支持服务后才能获得 BAA。
没有现成的“HIPAA 套件”——HIPAA 环境大多是自行管理的。
提供的企业和医疗保健特定服务比 Azure 或 AWS。

访问 Digital Ocean 了解有关功能的更多信息。

4. OVHCloud

在线访问： https://www.ovhcloud.com/asia/enterprise/certification-conformity/hipaa-hitech/

OVHcloud 是一家全球云托管服务提供商，在四大洲的 46 个数据中心拥有超过 400,000 万台服务器。其产品组合包括公有云、裸机、虚拟私有云和托管私有云基础设施。 OVHcloud 还拥有 ISO 27001 和 ISO 27701 认证，以及欧洲的 HDS 和 SecNumCloud 等区域特定项目认证。

为什么选择 OVH符合 HIPAA 标准的云托管服务？

OVHCloud 的美国 HIPAA 合规范围涵盖位于弗吉尼亚州文特希尔和俄勒冈州希尔斯伯勒数据中心的裸金属云、虚拟私有云、托管私有云和公有云服务。其 1 类 HIPAA 认证比简单地将基础设施描述为“符合 HIPAA 标准”提供了更具体的保证。客户可以将这些服务与私有网络、身份和访问管理、加密密钥管理、日志记录、备份和反作弊等功能结合使用。DDoS 保护。

根据我们的市场调研，我们发现： OVH云服务适合那些技术能力强、希望拥有更高基础设施灵活性或需要在美国和欧洲协调工作负载的医疗保健公司。它并非像 HIPAA 那样提供交钥匙式管理服务。 Atlantic.Net 或者说是 Liquid Web，因此客户必须自行设计、保护、监控和记录大部分环境。 OVH根据我们的研究，云平台的公开合规页面也没有解释其业务伙伴协议 (BAA) 流程。在部署电子受保护健康信息 (ePHI) 之前，请务必获得书面确认。 OVH云平台将执行业务伙伴协议 (BAA)，并验证所选的每个服务和地点是否在其 HIPAA 范围内。

OVH云计划、定价和总体价值

OVH与完全托管的 HIPAA 服务提供商相比，云基础设施的成本可能要低得多。其美国公共云的定价目前起价为每月 7.08 美元，适用于用于测试和开发的 Discovery 实例；而通用型 b3-8 实例在 12 个月的优惠计划下每月收费 37.54 美元。这些价格仅涵盖基础计算资源，而非完整的 HIPAA 环境，因此存储、备份、监控、安全工具、支持和合规管理等费用可能会增加总成本。

想知道更多吗 OVHCloud? 以下是我们的评论.

OVHCloud 利与弊

优点

在美国两个数据中心为符合条件的服务维持 1 类 HIPAA 认证。
为在美国和欧洲合规环境下运营的组织提供支持。
强大的合规产品组合（ISO 27001、ISO 27701、HDS、SecNumCloud）

缺点

不提供一站式 HIPAA 托管服务。
HIPAA 的适用范围仅限于特定服务和美国境内地点。
公开文件并未清楚地解释 BAA 流程。

访问 OVHCloud 了解有关功能的更多信息。

5. Microsoft Azure

在线访问： https://learn.microsoft.com/en-us/azure/compliance/offerings/offering-hipaa-us

Microsoft Azure 该平台支持涵盖计算、存储、数据库、分析、身份和灾难恢复等广泛服务的 HIPAA 工作负载。对于已在使用 Microsoft Entra ID、Windows Server、SQL Server、Microsoft 365 或其他 Microsoft 技术的医疗机构而言，该平台尤为适用。

为什么选择 Microsoft Azure 用于 HIPAA 托管？

Azure 它为复杂的医疗保健环境提供构建模块，包括基于角色的访问控制、加密、密钥管理、日志记录、威胁监控、备份和异地冗余。它还支持混合架构，使医疗机构能够将云资源与现有的本地系统连接起来。

微软的 HIPAA BAA 通过其当前的《产品和服务数据保护附录》提供。该协议默认适用于使用范围内微软服务的符合条件的受监管实体和业务伙伴。

基于我们与B2B IT系统集成商和软件开发方面的经验， Azure 对于已投资于微软生态系统的医疗机构而言，这是最合适的选择。但是，客户仍需负责正确配置服务，并管理自身的访问权限、应用程序、数据治理和人员控制。

Microsoft Azure 方案、定价和总体价值

Azure 不提供固定价格的 HIPAA 托管套餐。计算、存储、数据库、备份、监控、带宽和其他服务均按使用量单独收费，而 BAA 已纳入微软针对符合条件客户的合同条款中。生产工作负载的标准支持每月收费 100 美元，而专业版直接支持每月收费 1,000 美元。

Azure 对于已经具备微软云专业知识的组织来说，其成本可能低于完全托管的 HIPAA 主机，但咨询和管理成本可能会迅速缩小这种优势。

Microsoft Azure 利与弊

优点

默认向使用范围内的微软服务的符合条件的客户提供 BAA。
与 Microsoft Entra ID、Windows Server、SQL Server 和混合基础架构完美集成。
提供全面的安全、分析、灾难恢复和扩展功能。

缺点

缺乏直接支持；通常需要第三方管理。
正确配置和维护需要相当的专业知识。
跨多个服务采用按使用量计费的方式，可能会使成本难以预测。
生产级技术支持需额外收费，标准支持起价为每月 100 美元。

访问 Microsoft Azure 了解有关功能的更多信息。

6. Amazon Web Services (AWS)

在线访问： https://aws.amazon.com/compliance/hipaa-compliance/

Amazon Web Services (AWS) 通过丰富的云基础设施、数据库、存储、分析、安全和医疗保健专用服务，支持符合 HIPAA 标准的工作负载。其灵活的架构适用于医疗保健 SaaS 平台、数据处理系统、患者应用程序以及其他需要跨多个区域或可用区扩展的工作负载。

为什么选择 AWS 进行 HIPAA 托管？

AWS 提供对网络、加密、访问权限、日志记录、备份和威胁检测的精细化控制。其目前符合 HIPAA 标准的服务包括 Amazon EC2、S3、RDS、Lambda、CloudTrail、CloudWatch、KMS、AWS Backup 和 AWS HealthLake 等常用产品。您可以在同一账户中使用其他 AWS 服务，但电子健康信息 (ePHI) 的创建、接收、维护、处理或传输只能通过 BAA 涵盖的服务进行。

查看当前符合 HIPAA 标准的 AWS 服务列表.

AWS 客户可以通过 AWS Artifact 查看并接受其标准 BAA。在我们看来，AWS 为希望拥有精细架构控制并能访问各种云原生服务的医疗保健开发团队提供了最大的灵活性。然而，这种灵活性也带来了复杂性。AWS 管理底层云基础设施，而客户必须正确配置其应用程序、身份、加密、日志、备份和网络控制。

AWS计划、定价和总体价值

AWS 不提供固定的 HIPAA 托管套餐。客户需为使用的每项服务付费，费用会因计算时间、存储容量、数据库配置、备份、日志记录、数据传输和冗余等因素而有很大差异。基本支持包含在套餐内，而 Business Support+ 的起价为每个账户每月 29 美元，或按每月 AWS 使用量的一定比例收取，以较高者为准。Enterprise Support 的起价为每月 5,000 美元。

总体而言，对于拥有内部云专业知识的组织来说，AWS 的成本效益可能非常高，但规模较小的团队在将其与交钥匙 HIPAA 提供商进行比较时，应将工程、监控和托管服务费用考虑在内。

AWS 的优缺点

优点

提供符合 HIPAA 标准的广泛且定期更新的服务目录。
允许客户通过 AWS Artifact 查看和接受其标准 BAA。
提供对基础设施、安全性、扩展性和地理部署的全面控制。

缺点

对于没有 AWS 经验的团队来说，学习曲线非常陡峭。
当计算、存储、日志记录、备份、流量和支持等因素结合在一起时，定价就会变得复杂。
AWS 提供符合规范的构建模块，但客户仍需负责确保最终环境的安全。

访问 AWS 了解有关功能的更多信息。

刚买了主机？下一步该做什么？

配置主机可能让人感到困惑。这就是我们推出 HostScore 安装协助服务的原因: 为您一站式完成正确的主机配置。

我们可以帮您完成 SSL 安装、DNS 与域名服务器设置、WordPress 安装或迁移，以及安全优化。一次性收费，并提供 100% 退款保证。

了解我们的服务

符合 HIPAA 标准的托管服务费用是多少？

根据我们的市场调研，符合 HIPAA 标准的托管服务价格从每月不到 100 美元（基础的自助式云基础设施）到每月超过 500 美元（包含内置安全和合规服务的全托管套餐）不等。最终费用取决于您所需的服务器资源、管理级别、备份、防火墙、监控、支持和灾难恢复等服务。

最便宜的服务器未必是符合 HIPAA 标准且最具成本效益的选择。低成本的云实例可能仍然需要付费支持、安全工具、配置工作和持续管理。托管套餐虽然前期投入较高，但可以减轻您内部团队的工作负担。

HIPAA主机托管价格比较

以下价格并不完全等价。 Atlantic.Net Liquid Web 还发布受 HIPAA 管理的软件包，而 DigitalOcean, OVH云计算， AzureAWS 会对所使用的基础设施和服务单独收费。

主机服务商	公布价格参考	定价和合规背景
Atlantic.Net	每月552.31美元起，另加150美元安装费。	为期 12 个月的 Linux HIPAA 开发人员软件包捆绑了服务器管理、托管防火墙、 VPN 访问权限、备份、漏洞扫描、迁移协助和业务伙伴协议 (BAA)。
Liquid Web	Linux 系统每月 229 美元起，Windows 系统每月 271 美元起。	价格包含完全托管的符合 HIPAA 标准的专用服务器和业务伙伴协议 (BAA)。防火墙， VPN 访问权限、加密和定制安全要求可能会影响最终报价。
DigitalOcean	基础设施使用费加上每月 99 美元的标准支持费或每月 999 美元的高级支持费	DigitalOcean 只有在购买了上述支持计划之一后，才会提供业务伙伴协议 (BAA)。计算、存储、数据库、备份和其他资源将单独计费。
OVH云	按使用量计费；通用型 b3-8 实例在 12 个月的优惠计划下起价约为每月 37.54 美元	这是基础基础设施定价，而非完整的 HIPAA 环境。客户必须确认 BAA 的可用性，并添加所需的安全、备份、监控和管理服务。
Microsoft Azure	按使用量计费；生产技术支持起价为每月 100 美元。	微软的业务伙伴协议 (BAA) 通过其数据保护附录包含在内，适用于使用协议范围内服务的符合条件的客户。计算、存储、数据库、安全、备份和带宽费用另行收取。
AWS	按使用量计费；Business Support+ 起价为每个帐户每月 29 美元，或按使用量的百分比计费。	客户可以通过 AWS Artifact 接受 AWS BAA。只有符合 HIPAA 标准的服务才能处理电子健康信息 (ePHI)，基础设施、监控、备份、数据传输和支持服务将另行收费。

注意：价格截至 2026 年 9 月有效。购买前请查看最新条款，因为云定价、支持计划和包含的服务可能会发生变化。

哪家符合 HIPAA 标准的托管服务提供商性价比最高？

例如：Liquid Web 的专用 HIPAA 托管服务，Linux 系统每月起价 229 美元，Windows 系统每月起价 271 美元。

Liquid Web 为希望获得 HIPAA 托管服务的机构提供了最佳的入门级性价比。其每月 229 美元的起价远低于其他方案。 Atlantic.NetLiquid Web 的已发布套餐在我们进行的托管测试中表现良好。但是，由于额外的安全组件可能会增加总成本，因此买家应索取完整报价。

DigitalOcean 对于技术能力强、寻求更简单易用的自管理云基础设施的团队来说，这是最具性价比的选择。 HostScore.net 运行 DigitalOcean根据我们的经验，该平台一直非常可靠。主要成本因素是获得业务伙伴协议 (BAA) 所需的强制性每月 99 美元的标准支持计划，此外还有正常的基建费用。

Atlantic.Net 如果您需要将安全和管理服务打包到一个可预测的套餐中，那么这款产品更具性价比。虽然它的入门价格在我们推荐的 HIPAA 托管服务列表中最高，但该套餐包含的服务通常由自助托管服务提供商单独收费或需要您的团队自行实施。 Atlantic.Net 在我们的负载测试和正常运行时间跟踪中也表现出色。

Azure 对于已经使用微软技术的组织而言，AWS 具有强大的价值；而对于需要最广泛的云服务和架构选项的团队而言，AWS 则更具吸引力。 OVH云计算可以降低基础设施成本，但我们只有在确认 BAA 流程并计算出构建和管理合规环境的内部成本之后才会考虑使用云计算。

HIPAA托管说明

HIPAA托管服务可在托管或云环境中保护电子健康信息。要理解HIPAA托管服务，需要了解HIPAA涵盖哪些组织、哪些数据属于受保护数据，以及客户和托管服务提供商之间如何划分合规责任。

什么是HIPAA？

HIPAA 于 1996 年成为美国法律。其目的是保护医疗保健信息的隐私 — HIPAA 于 1996 年成为美国法律，并建立了保护健康信息的框架。

《健康保险流通与责任法案》（HIPAA）是美国于1996年颁布的一项联邦法律，它确立了影响健康信息、保险流通和电子医疗交易的国家标准。其中三条HIPAA规则与存储、处理或传输医疗数据的机构尤为相关：

隐私规则 它规范了受保护健康信息（PHI）的使用和披露方式，并确立了个人享有的某些权利。
安全规则 需要对电子PHI（ePHI）采取行政、物理和技术方面的安全措施。
违规通知规则 发生某些未加密PHI泄露事件后，需要发出通知。

对于托管服务商而言，HIPAA 保护受监管的健康信息的机密性、完整性和可用性。它要求受监管实体和业务伙伴评估风险、控制访问权限、记录安全措施并应对安全事件。

《促进经济和临床健康的健康信息技术法案》(HITECH2009年加强了这些保护措施。 HITECH 扩大了违规通知要求，加强了执法力度，并使业务伙伴直接负责遵守 HIPAA 规则的适用部分。

法律条文已公布。这里是为了 HIPAA美国卫生与公众服务部（HHS）还解释了如何 HITECH 修改了安全规则和业务伙伴责任.

什么算作 PHI 和 ePHI？

受保护的健康信息 (PHI) 是指由受 HIPAA 法规约束的实体或业务伙伴创建、接收、维护或传输的可识别个人身份的健康信息。它与个人的健康、治疗或医疗保健支付相关，并且能够识别该个人身份或提供合理的识别依据。

受保护健康信息 (PHI) 可能包含姓名、地址、出生日期、医疗记录编号、社会安全号码、诊断结果、治疗详情或保险信息。当 PHI 以电子方式保存或传输时，它就变成了电子受保护健康信息 (ePHI)。

常见的主机托管相关示例包括：

存储在数据库中的患者记录
通过电子邮件传输的医疗保健信息
包含患者或保险数据的备份
包含姓名、账号或治疗详情的应用程序日志
导出的包含患者标识符的电子表格
与可识别患者关联的医学影像

并非所有与健康相关的数据都属于PHI（受保护的健康信息）。当信息与受保护实体或业务伙伴相关联，且符合监管定义时，HIPAA（健康保险流通与责任法案）适用。根据HIPAA规则，经过适当去标识化处理的信息也不再被视为PHI。

为什么 HIPAA 对主机托管如此重要？

当受 HIPAA 法规约束的实体或业务伙伴使用服务提供商创建、接收、维护或传输电子受保护健康信息 (ePHI) 时，托管服务就至关重要。在这种情况下，即使托管服务提供商仅存储加密数据且不持有解密密钥，该服务提供商通常也成为业务伙伴。

客户和托管服务提供商必须签订业务伙伴协议 (BAA)。该协议规定了电子受保护健康信息 (ePHI) 的允许用途、安全责任、事件报告义务、分包商义务以及服务终止时数据的处理方式。

托管合规性不仅限于服务提供商的基础设施。客户仍需正确配置应用程序、限制用户访问、管理凭证、评估风险并记录自身的控制措施。因此，美国卫生与公众服务部 (HHS) 将云安全视为服务提供商和客户共同的责任。

什么是符合 HIPAA 标准的 Web 托管？

计费示例： Atlantic.Net HIPAA 托管要求清单 — 计费示例： Atlantic.Net HIPAA主机托管要求清单。

符合 HIPAA 标准的网络托管是指配置和运行的托管环境，旨在支持 ePHI 所需的法律、行政、物理和技术保障措施。 当服务提供商作为业务伙伴时，还必须包含适当的业务伙伴协议 (BAA)。

美国卫生与公众服务部 (HHS) 不对特定主机产品进行认证或认可。提供业务伙伴协议 (BAA) 和合格基础设施的提供商可以为您奠定合规基础，但这并不意味着您的网站、应用程序或组织就自动合规。

At HostScore我们从五个方面评估 HIPAA 托管服务：

确定 HIPAA 是否适用。 您的组织必须首先确定它是受保护实体、业务伙伴还是处理电子受保护健康信息的转包商。
确认供应商将签署业务伙伴协议 (BAA)。 如果受监管实体或业务伙伴在没有签订适当的业务伙伴协议 (BAA) 的情况下使用云服务提供商来维护电子受保护健康信息 (ePHI)，则违反了 HIPAA 规则。请务必查看协议涵盖哪些产品和服务，因为其适用范围可能并不涵盖服务提供商的整个平台。
明确各方的安全责任。 服务提供商可以控制物理数据中心访问、存储基础设施和网络安全。客户可能仍需负责应用程序安全、用户权限、加密设置、日志记录和账户管理。这些责任应形成文档记录。
选择合适的托管模式。 云托管和专用服务器托管均可支持符合 HIPAA 法规的工作负载。云托管提供灵活的资源分配，而专用服务器提供隔离的硬件和更直接的配置控制。合适的方案取决于应用场景、风险评估和内部专业知识。
选择托管型主机或非托管型主机。 托管型主机将更多的补丁、监控、备份和维护工作交给服务提供商。非托管型主机则将这些任务更多地留给您的团队。但两种模式都不能免除您组织的合规责任。

因此，符合 HIPAA 标准的托管服务并非购买后即可高枕无忧。合规性取决于业务伙伴协议 (BAA)、托管配置、内部流程、员工规范以及双方明确记录的责任。

HIPAA托管的技术要求

HIPAA安全规则要求采取管理、物理和技术方面的安全措施。该规则不涉及特定技术，因此通常不会指定使用某种产品、加密算法、身份验证方法或数据中心设计。

符合 HIPAA 法规的托管环境应支持以下控制措施：

需求	符合 HIPAA 标准的托管环境	传统托管环境
加密	根据现行安全规则，加密是一项可寻址的规范。在合理且适当的情况下，必须实施加密；否则，组织必须记录其决定并使用适当的替代方案。	TLS 可以保护传输中的数据，但静态数据加密和密钥管理因提供商而异。
访问控制和身份验证	系统必须限制电子受保护健康信息 (ePHI) 的访问权限，仅限授权用户访问，并验证用户身份。必须使用唯一用户标识；多因素身份验证 (MFA) 被广泛推荐，但根据现行规则并非强制要求。	密码访问是标准配置，而多因素身份验证和基于角色的权限则因情况而异。
审计控制和日志记录	系统必须记录并检查涉及包含或使用电子受保护健康信息 (ePHI) 的系统的活动。日志记录范围应反映组织的风险和责任。	可能提供基本的服务器或帐户日志，但保留期限和详细程度各不相同。
物理保障	服务提供商必须限制对系统和设施的物理访问，同时允许授权访问。HIPAA并未明确要求使用生物识别门禁系统。	服务提供商应用各自的数据中心访问控制措施。
备份与还原	受监管实体需要将数据备份、灾难恢复和紧急模式程序纳入其应急计划中。	备份和灾难恢复可能是可选的，或者需要单独购买。
商业伙伴协议	当提供商作为业务伙伴创建、接收、维护或传输电子受保护健康信息时，需要签订业务伙伴协议 (BAA)。	标准托管通常不包含 BAA。
劳动力培训	受监管实体和业务伙伴必须对其员工进行适用安全政策和程序的培训。	培训机构可能提供一般安全培训，但不提供针对医疗保健行业的特定流程培训。
事件响应	受监管实体必须识别、应对、缓解并记录安全事件。业务伙伴协议（BAA）还必须规定事件报告机制。	事件处理程序因服务提供商和服务级别而异。
风险分析和管理	各组织必须评估电子健康信息面临的风险，并将已识别的风险降低到合理适当的水平。	正式的风险分析通常是客户的责任。
设备和媒体控制	必须制定政策来规范包含电子受保护健康信息的硬件和电子介质的接收、转移、再利用和处置。	数据清除和硬件处置做法各不相同，可能不会对外公开。

美国卫生与公众服务部 (HHS) 于 2024 年 12 月提议加强安全规则的要求，其中包括涉及加密和多因素身份验证的变更。然而，HHS 表示，在规则制定工作进行期间，现行安全规则仍然有效。购买者在部署新环境之前应核实该规则的最新状态。

符合 HIPAA 标准的主机应该如何对存储介质进行消毒和硬件处置？

符合 HIPAA 标准的托管服务提供商应制定完善的流程文件，用于清理、重复使用和处置可能包含电子受保护健康信息 (ePHI) 的存储介质。删除文件或终止服务器实例并不一定能从活动存储、备份、副本或已停用的硬件中彻底删除所有底层副本。

HIPAA 安全规则要求对电子健康信息 (ePHI) 的最终处置以及存储 ePHI 的硬件进行设备和介质控制。该规则还要求在电子介质重复使用之前，制定移除 ePHI 的程序。根据介质和风险的不同，美国卫生与公众服务部 (HHS) 指出，清除、清除数据和物理销毁是可行的处理方法。

在比较符合 HIPAA 标准的主机服务商时，应询问其如何处理故障硬盘、报废服务器、备份介质、退回供应商的存储设备以及由处置承包商处理的硬件。服务商应能够解释其监管链、数据清除方法、分包商管控、记录保存以及是否提供销毁证明。

NIST SP 800-88 修订版 2 为构建介质清除程序提供了最新指南。它涵盖了清除、清除、加密擦除和物理销毁等方法。托管服务提供商的策略应根据存储技术、数据敏感性和恢复可能性来选择合适的清除方法。

除了 HIPAA 之外：选择主机时的其他因素

当您的机构处理电子健康信息 (ePHI) 时，遵守 HIPAA 法规至关重要，但仅凭合规性并不能保证托管服务提供商的适用性。医疗保健网站或应用程序还需要可靠的基础设施、响应迅速的支持、易于管理的系统以及可预测的成本。

在比较服务提供商时，考虑与其他托管服务相同的操作标准:

性能和正常运行时间： 检查服务提供商的基础设施、正常运行时间服务级别协议 (SLA)、网络冗余以及可用的扩展选项。符合 HIPAA 标准并不能保证应用程序运行快速或可靠。
易于管理： 选择与团队技术能力相匹配的托管或非托管环境。确认由谁负责补丁管理、监控、备份、恢复和安全配置。
定价透明度： 比较基础设施、备份、安全服务、合规性报告、托管支持和数据传输费用。低廉的服务器价格可能无法反映运行合规环境的全部成本。
Scala能力： 确认服务提供商能够在不进行中断性迁移的情况下增加 CPU、内存、存储和网络容量。
工作量匹配度： 将托管环境与医疗保健应用程序相匹配。例如，患者门户、远程医疗平台等。 WordPress 网站和医疗SaaS产品对性能和安全的要求各不相同。

美国本土支持和接受过 HIPAA 培训的员工重要吗？

位于美国的支持团队和接受过 HIPAA 培训的员工可以使托管服务提供商更易于合作，但这两项资质都不能证明其符合 HIPAA 标准。HIPAA 并未要求支持人员或云基础设施必须位于美国境内。美国卫生与公众服务部 (HHS) 允许受监管的组织在签订适当的业务伙伴协议 (BAA) 并采取相应安全措施的情况下使用海外云服务，但地域风险必须纳入组织的风险分析。

美国本土的支持团队或许仍能减少时区差异带来的不便，并简化美国医疗机构的升级流程。但更重要的问题是，支持人员是否了解医疗机构在 HIPAA 法规下的责任，以及在访问客户系统时是否遵循既定流程。

在选择服务提供商之前，我们建议您询问以下问题：

支持人员是否定期接受安全和 HIPAA 相关培训
访问客户系统是否需要授权以及是否会被记录
服务提供商是否提供全天候事件升级服务
第三方支持承包商是否可以访问电子PHI
适用分包商是否受相应业务协议约束
支持团队能否解释合规职责的划分

请注意，“接受过 HIPAA 培训的员工”并非正式认证。请将其视为一种声明，需要提供有关培训、访问控制、事件处理程序和升级责任等方面的详细信息作为佐证。

关键精华

选择符合 HIPAA 标准的托管服务首先要做出五个决定：确定是否处理 ePHI、获得签署的 BAA、验证所需的安全措施、在云基础设施和专用基础设施之间进行选择，以及决定是否需要托管服务或非托管服务。

满足上述要求后，比较性能、正常运行时间、支持专业水平、管理便捷性和总成本。确认托管服务提供商使用经过 HIPAA 培训的员工，并制定了完善的介质清除和硬件处置流程。合规性固然重要，但合适的运营模式才能确保环境安全、可靠且易于管理。

HIPAA 托管常见问题解答

什么是 HIPAA，为什么它很重要？

HIPAA 是美国一项保护患者健康信息的法律。如果您处理电子受保护健康信息 (ePHI)，HIPAA 要求您采取行政、物理和技术保障措施来保护其安全。

符合 HIPAA 标准的虚拟主机与常规虚拟主机有何不同？

常规托管注重性能和正常运行时间。HIPAA 托管则增加了法律和技术要求：签署的业务伙伴协议 (BAA)、加密、访问控制、审计日志和记录在案的政策。

是否有任何认证可以证明网络托管服务商符合 HIPAA 规定？

没有官方的“HIPAA认证”。供应商可能会进行第三方审计，例如 SOC 2, SOC 3或 HITRUST，但合规性始终取决于保障措施和签署的 BAA。

HIPAA 托管 BAA 中应该包含什么？

有效的 BAA 明确了各方的责任、违规通知规则以及分包商的义务。没有 BAA，您就无法合法托管 ePHI。

我是否需要专用托管才能符合 HIPAA 标准？

不是。只要安全措施到位且提供商签署了 BAA，云环境和专用环境都可以符合 HIPAA 规定。具体选择取决于您的工作量和预算。

我可以使用基于云的托管服务提供商来提供符合 HIPAA 标准的网络托管服务吗？

是的，可以。如果公司满足所有必要的安全和隐私要求，云托管服务提供商可以提供符合 HIPAA 标准的网络托管服务。许多云服务提供商，包括 Atlantic.Net, Amazon Web Services (AWS)和 Microsoft Azure 提供符合 HIPAA 标准的托管选项，并愿意与医疗保健组织签署 BAA。

违反 HIPAA 的处罚是什么？

违反 HIPAA 可能会导致民事罚款，在某些情况下还会导致刑事处罚。每次违规的民事处罚从 100 美元到 50,000 美元不等，重复违反同一条款的每年最高罚款 1.5 万美元。对故意忽视或错误披露 PHI 的刑事处罚可包括最高 250,000 美元的罚款和最高 10 年的监禁。